>Decyzje Giodo>2008 >

GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH
Michał Serzycki

Warszawa, dnia 12 maja 2008 r.

DECYZJA

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania
administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2, art. 18 ust. 1 pkt 1 i
art. 22 w związku z art. 31 ust. 1 i ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych
osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania
administracyjnego w sprawie przetwarzania danych osobowych przez Spółkę X. z siedzibą w
(...) przy ul. (…),

nakazuję
Spółce X z siedzibą w (...) przy ul. (…) jako administratorowi danych osobowych
przetwarzanych przez Biuro Rachunkowe „Y” s.c. z siedzibą w (…) przy ul. (…) w
ramach świadczenia obsługi kadrowo - płacowej na podstawie umowy zawartej w dniu 3
stycznia 2007 r. usunięcie uchybienia w procesie przetwarzania danych osobowych
poprzez określenie w ww. umowie zakresu i celu przetwarzania danych osobowych
pracowników Spółki X., w terminie 7 dni od dnia, w którym niniejsza decyzja stanie się
ostateczna.

U z a s a d n i e n i e

Inspektorzy upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych
przeprowadzili kontrolę w Spółce X z siedzibą w (...) przy ul. (…), zwanej dalej również Spółką, w
celu ustalenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych
osobowych (sygn. akt DIS-K-421/15/08), tj. ustawą z dnia 29 sierpnia 1997 r. o ochronie danych
osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z póżn. zm.), zwaną dalej ustawą oraz
rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w
sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i
organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do
przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), zwanym dalej rozporządzeniem. W
toku kontroli odebrano od Prokurenta Spółki ustne wyjaśnienia, skontrolowano systemy
informatyczne oraz dokonano oględzin pomieszczeń, w których odbywa się przetwarzanie danych
osobowych. Stan faktyczny został szczegółowo opisany w protokole kontroli, który został podpisany
przez Prokurenta Spółki. Na podstawie tak zgromadzonego materiału dowodowego ustalono, że w
procesie przetwarzania danych osobowych Spółka jako administrator danych naruszyła przepisy o
ochronie danych osobowych. Uchybienie polegało na nieokreśleniu w umowie zawartej w dniu 3
stycznia 2007 r. przez X z Biurem Rachunkowym „Y” s.c. z siedzibą w (…) przy ul. (…), zakresu i
celu przetwarzania danych osobowych pracowników Spółki (art. 31 ust. 1 i ust. 2 ustawy).
W związku z powyższym, Generalny Inspektor Ochrony Danych Osobowych wszczął z
urzędu postępowanie administracyjne w niniejszej sprawie w celu wyjaśnienia okoliczności
sprawy. Pismem zawiadamiającym o wszczęciu postępowania administracyjnego w przedmiotowej
sprawie (nr DIS-K-421/15/08/7839) administrator danych został poinformowany o prawie
czynnego udziału w każdym stadium postępowania, a przed wydaniem decyzji wypowiedzenia się
co do zebranych dowodów i materiałów oraz zgłoszonych żądań. Pomimo to, Spółka nie złożyła
wyjaśnień oraz nie przedstawiła dowodów potwierdzających usunięcie wskazanego uchybienia.
Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie, Generalny
Inspektor Ochrony Danych Osobowych zważył co następuje:
Zgodnie z treścią art. 31 ust. 1 i ust. 2 ustawy, administrator danych może powierzyć innemu
podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot, o którym mowa
w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie.
Jak ustalono w toku kontroli, obsługę kadrowo-płacową dla Spółki, jako administratora
danych, prowadzi Biuro Rachunkowe „Y” s.c. z siedzibą w (…) przy ul. (…) na podstawie
umowy zawartej w dniu 3 stycznia 2007 r. Z treści przedmiotowej umowy wynika, że została ona
zawarta m.in. w celu prowadzenia ksiąg rachunkowych Spółki oraz rozliczeń z Zakładem
Ubezpieczeń Społecznych przez Biuro Rachunkowe „Y” s.c. W umowie natomiast nie został
określony zakres ani cel przetwarzania danych osobowych pracowników Spółki w związku z
obsługą kadrowo - płacową. Zatem ww. umowa nie spełnia wymogów, o których mowa w art. 31
ust. 1 i ust. 2 ustawy, tj. nie określa zakresu i celu przetwarzania danych osobowych.
Wobec powyższego, Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął jak
w sentencji.
Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych
oraz art. 129 § 2 Kodeksu postępowania administracyjnego, strona niezadowolona z niniejszej
decyzji może zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych (adres:
ul. Stawki 2, 00-193 Warszawa) z wnioskiem o ponowne rozpatrzenie sprawy, w terminie 14 dni
od dnia doręczenia niniejszej decyzji.